С апреля 2026 года группировка Aurora, распространяющая программу-вымогатель, атакует серверы виртуализации VMware ESXi. Один такой сервер обслуживает десятки виртуальных машин компании, поэтому остановка гипервизора - платформы, которая ими управляет, - оборачивается простоем всей инфраструктуры. Требование выкупа жертва видит сразу при подключении к машине по защищённому каналу. Текст с адресом портала в сети Tor и персональным ключом доступа выводится на экран ещё до запроса логина и пароля. Раньше группировку замечали в основном на обычных рабочих станциях. Теперь её интересуют серверные платформы, на которых держится бизнес. Группировка действует как минимум с апреля 2026 года и уже отметилась в нескольких регионах мира.
Описание
Aurora работает по двойной схеме: данные не только шифруют, но и похищают. Сайт утечек группировка использует как инструмент давления. На нём публикуют названия компаний и фрагменты выкраденных документов, если те не выходят на связь. Для бизнеса такой сценарий означает сразу несколько рисков: остановку процессов, потерю конфиденциальной информации и разбирательство с регуляторами. Отраслевая специфика добавляет проблем. Серверы виртуализации обычно обслуживают бухгалтерию, склады и клиентские сервисы одновременно, поэтому их остановка затрагивает почти все подразделения.
Атаке предшествует подготовка. Попав в чужую сеть, злоумышленник вручную копирует программу на несколько внутренних узлов. Дальше она шифрует содержимое файлов прямо на месте. Ключи доступа она упаковывает открытым ключом, зашитым внутрь самой программы. Восстановить данные своими силами жертва не может. Для серверов виртуализации предусмотрен отдельный режим работы. Программа принудительно завершает все запущенные виртуальные машины - так снимаются блокировки с их дисков. Затем шифруются файлы виртуальных машин, а системные разделы остаются нетронутыми. Гипервизор сохраняет загружаемость. Иначе пострадавший не увидел бы требования выкупа и не смог связаться с вымогателями.
Исследование Gambit Security показало, что группировка активна минимум с апреля 2026 года. Она ведёт сайт утечек и атакует организации в разных странах. В первом кластере активности насчитали десять пострадавших организаций. Там же нашли служебную программу для поиска гипервизоров и серверов управления внутри чужой сети. Она определяет внутренние подсети, обращается к контроллеру домена и сканирует узлы. Версию продукта программа распознаёт по сертификату и оформлению веб-интерфейса. Затем оператор получает список удобных целей. Такой подход экономит время. Злоумышленник не тратит часы на ручной осмотр сети и сразу выбирает платформу с самыми ценными данными.
Задачи, которые оператор поручал ИИ-агенту, отличались разнообразием. В части сетей он подключал Cursor Agent на модели Claude Sonnet. Агенту передавали учётные данные или готовый маршрут внутрь организации и формулировали цель. Он поднимал защищённое подключение к сети жертвы, сканировал подсети и выяснял, какими правами обладает найденный пользователь. Дальше пытался перехватить аутентификацию и запускал атаки на службу сертификатов. Иногда оператор не вникал в детали. Агент предлагал список следующих шагов, а человек отвечал номером нужного пункта. Большинство команд с первого раза цели не достигали. И агент, и оператор подолгу дорабатывали их. Часть задач в итоге закрыли, остальные вернулись к исполнителю в виде отчёта о неудачных попытках.
Оператор несколько раз повторял агенту список запретов. Прямое получение хешей - цифровых отпечатков, по которым проверяют подлинность, - учётных данных контроллера домена запрещено категорически. Вместо этого он просил добыть хеш самой машины. Нельзя доводить дело до блокировки учётных записей. Каждое задание на подбор пароля сопровождалось напоминанием об этом. Добавлять в домен новый компьютер тоже не следовало. Осторожность объясняется просто. Такие действия оставляют заметные следы, а служба безопасности реагирует на них быстро.
Второй кластер активности аналитики связывают с Aurora со средней уверенностью. Возможно, там работал другой оператор. Тактика здесь заметно отличалась. Перемещение по сети шло через незащищённую службу баз данных, доступную из интернета. Дальше права повышали до системного уровня, извлекали учётные данные контроллера домена и выгружали файлы в собственное облачное хранилище. Основание для атрибуции - содержимое этого хранилища. Там лежали данные организации, которую группировка опубликовала на своём сайте утечек через девять дней после передачи. Пострадали восемь организаций в Израиле, Германии, Австрии, Испании, США и Аргентине.
Для компаний из этой истории следуют конкретные шаги. Серверы виртуализации стоит вынести в отдельный сегмент сети и закрыть прямой доступ к ним из внутренних подсетей. Резервные копии нужно держать вне досягаемости шифровальщика и регулярно проверять их восстановление. Учётные записи с широкими правами требуют двухфакторной аутентификации и постоянного контроля. Лишние службы и старые учётные записи лучше отключить. Отдельная мера - контроль исходящих подключений: выгрузка данных в чужое облако заметна по нетипичному трафику. Пострадавшим грозит не только простой, но и утечка данных, штрафы регуляторов и потеря клиентов. Aurora совмещает шифрование с кражей информации. Группировка всё чаще использует ИИ-помощников, поэтому скорость реакции на подозрительную активность значит не меньше, чем защита периметра.
Индикаторы компрометации
